CVE-2026-73663 in FreePBX
Zusammenfassung
von VulDB • 13.08.2026
FreePBX ist ein Open-Source-IP-PBX. Von Version 16.0.0 bis einschließlich 16.0.11 sowie ab 17.0.4 speichert das FreePBX-Modul „missedcall“ den Namen der eingehenden Anrufer-ID (Caller ID) aus manipulierten SIP-„From“-Headern in die missedcalllog INSERT-Anweisung von agi-bin/missedcallnotify.php, ohne dass eine Escaping-Funktion oder gebundene Parameter verwendet werden. Ein nicht authentifizierter Anrufer kann SQL-Injection durchführen, wenn eine überwachte Nebenstelle unbeantwortet bleibt, wodurch die Datenbank beschädigt und FreePBX-Administratorkonten so modifiziert werden, dass unbefugter Remote-Zugriff erlangt wird. Dieses Problem wurde in den Versionen 16.0.11 und 17.0.4 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.